🤖 AI

Committed SAE-Feature Traces for Audited-Session Substitution Detection in Hosted LLMs

本論文は、ホスト型LLMにおけるサイレントなモデル置換を効果的に検出するために、Merkle木コミットメントをスパースオートエンコーダ（SAE）の特徴量トレースに活用するコミット・オープン・プロトコルを提案し、既存の返却後プローブ方式を凌駕し、多様な適応的攻撃を拒絶しつつ最小限の計算オーバーヘッドを維持する。

原著者： Ziyang Liu

公開日 2026-05-26

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Ziyang Liu

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

高級レストランからグルメなステーキを注文したと想像してください。あなたは高級な肉の切り身のために支払いますが、厨房は密かにそれを安価な冷凍パティにすり替えます。AI の世界において、これは現実的なリスクです。クラウドプロバイダーが高性能で高価な AI モデルを宣伝しながら、コスト削減のために安価で性能の低いモデルを密かに送ってくる可能性があります。

この論文は、レストランを信頼する必要なく、これらの「偽物のステーキ」を見抜く新しい方法を提案します。

問題点：「魔法の鏡」のトリック

現在のセキュリティ手法は、本物のリクエスト alongside 秘密のテスト質問（「プローブ」）を AI に送信することで、不正行為者を検出しようとしています。AI がテスト質問に正しく回答すれば、プロバイダーは「ご覧の通り、良いモデルを使用しました！」と主張します。

しかし、不誠実なプロバイダーは「魔法の鏡」のトリックを使ってこのシステムを欺くことができます。彼らは秘密のテスト質問を高価で高品質なモデルにルーティングしてテストをパスさせつつ、実際のリクエストは安価で性能の低いモデルにルーティングします。あなたは悪い結果を得ますが、セキュリティチェックはすべて正常であると報告します。

解決策：「密封されたレシピ箱」

著者らは、「コミット・オープン・プロトコル」と呼ばれる新しいシステムを提案します。これは、シェフが調理を始める前に施錠しなければならない、密封されたレシピ箱のようなものです。

コミットメント（箱の施錠）: AI が回答を生成する前に、内部の思考プロセスのデジタル「指紋」を作成します。特別なツール（スパース・オートエンコーダ、SAE と呼ばれる）を使用して、各ステップで脳の活動の瞬間的なスナップショットを取得します。その後、これらのスナップショットをデジタルの「マーブル木」（安全で変更不可能なリスト）にロックし、その鍵を公開します。
オープン（領収書の確認）: AI が回答を提示した後、セキュリティチェッカーはプロセスからいくつかのランダムなステップを選択し、プロバイダーにそれらの特定の瞬間について「箱を開ける」よう要求します。
検証（味見テスト）: チェッカーは、開けられたスナップショットを「良い」AI の脳の姿を示す公開ライブラリと比較します。スナップショットが高品質なモデルと一致すれば、回答は承認されます。安価なモデルのように見える場合は、回答は拒否されます。

なぜ不正行為者は勝てないのか

この論文は、モデルのすり替えを試みる者、モデルをわずかにいじろうとする者、さらには数学的にシステムを欺こうとする者など、17 種類の異なる不正行為者に対してこの手法をテストしました。

「並列提供」の失敗: 従来の「魔法の鏡」方式では、不正行為者はテスト質問に対してのみ良いモデルを見せることで、テストを簡単にパスできました。しかし、この新しいシステムでは、「指紋」が回答が完全に生成される前にロックされ、プロセス全体をカバーしているため、不正行為者はロックを破ることなくプロセス途中でモデルをすり替えることができません。
「偽物の脳」の失敗: 不正行為者が指紋を偽造しようとしても（良いモデルの脳活動を持っているふりをしても）、数学的に証明されている通り、実際のモデルを動かさずに、そのモデルの内部思考の複雑さを偽造することは不可能です。
「ハッカー」の失敗: ハッカーが指紋から逆算してシステムを欺こうとしても、実際のモデルと偽物のモデルとの間のギャップは、埋めるには広すぎます。

コスト

著者らは、3 つの異なる AI モデルでこの手法を実行しました。その結果、このセキュリティロックを追加しても、AI の処理速度は約**2.1%**しか低下しないことがわかりました。ステーキのために支払ったのに冷凍パティを提供されないようにするための、支払うには小さな代償です。

要約すると: この論文は、AI プロバイダーに約束した特定のモデルを使用したことを証明させる「ロック・アンド・チェック」システムを導入するものであり、安価なバージョンにすり替えても数学的に見逃されることを不可能にします。

技術的概要：ホスト型 LLM における監査セッション置換検出のためのコミット済み SAE 特徴量トレース

問題定義

ホスト型大規模言語モデル（LLM）プロバイダーは、「サイレント置換」に対するインセンティブに直面している。すなわち、高機能モデルを広告しながら、ユーザーには実際には安価で低品質な代替モデルを密かに提供するという経済的動機である。「返答後のプローブ（probe-after-return）」方式（例：SVIP）などの既存の検出メカニズムは、並列提供によるサイドチャネルに対して脆弱である。これらの方式では、不誠実なプロバイダーが、監査を通過させるために検証者の特定のプローブ要求を広告された（強力な）モデルにルーティングし、同時に通常のユーザーには代替（低性能な）モデルから提供するということが可能である。これにより、標準的な検証手法では検出不可能なギャップが生じ、置換が隠蔽されることになる。

手法：コミット・オープン・プロトコル

この検証ギャップを埋めるため、著者はプロバイダーがプローブを選択的にルーティングすることを防ぐ「コミット・オープン・プロトコル」を提案する。手法は以下の通り動作する。

コミットメントフェーズ: 開示要求が発生する前に、プロバイダーは提供された出力の「特徴量トレースのスケッチ」にコミットする。このスケッチは、公開されたプローブ層におけるスパース・オートエンコーダー（SAE）を用いて生成される。プロバイダーは、位置ごとの SAE 特徴量トレース上でメルクル木を構築し、セッション中の実際のモデル動作に対する暗号学的コミットメントを生成する。
開示および検証フェーズ: 検証者がコミットされたトレース内のランダムな位置の開示を要求する。プロバイダーは対応する SAE 特徴量を開示する。
スコアリングおよび決定: 検証者は、これらの開示された特徴量を「公開された命名回路プローブライブラリ」に対してスコアリングする。このライブラリは、クロスバックエンドのノイズを考慮して較正されている。最終的な決定は、広告されたモデルと開示された特徴量が一致するかどうかを判断する「固定しきい値の joint-consistency z-score 規則」を用いて行われる。

実験的実装と結果

本プロトコルは、3 つの異なるバックボーン・アーキテクチャ上で実装・テストされた。

Qwen3-1.7B
Gemma-2-2B
131k 特徴量 SAE を利用したスケールアップ版 Gemma-2-9B 変種

評価には、以下のさまざまな置換戦略を代表する 17 種類の異なる攻撃者が含まれた。

同ファミリーモデルの引き上げ（lifts）。
クロスファミリーの代替モデル。
Rank<=128 の適応型 LoRA（Low-Rank Adaptation）攻撃。

主要な知見:

検出有効性: 提案されたプロトコルを用いると、すべての 17 種類の攻撃者が、スケールに依存しない共有しきい値で拒否された。
ベースラインとの比較: 同じ攻撃者セットは、マッチングされた SVIP 方式の並列提供ベースラインを成功裏に回避したが、これは選択的ルーティングを防ぐにおけるコミット・オープン・アプローチの優位性を示している。
高度な攻撃に対する堅牢性:
- 凍結された SAE エンコーダーを逆伝播させて特徴量を偽造しようとした「ホワイトボックス・エンドツーエンド攻撃」は、検出マージンを埋めることに失敗した。
- 誠実なモデル $M_h$ を一度も実行しない「特徴量偽造攻撃者」は、内在次元（intrinsic-dimension）の議論によって閉形式で有界化され、理論的に成功する偽造の実現可能性が制限される。
パフォーマンスオーバーヘッド: コミットメントメカニズムは計算コストをほとんど増大させず、バッチサイズ 32 においてフォワードのみの実行時間を2.1% 以下にしか増加させない。

意義と主張

本論文は、このプロトコルがプローブ・アフター・リターン方式に内在する並列提供サイドチャネルの脆弱性を効果的に排除すると主張している。プロバイダーを検証前に実際の提供出力の SAE 特徴量トレースにコミットさせることで、監査に使用されるモデルとユーザー推論に使用されるモデルが同一であることをシステムが保証する。著者はこれを、ホスト型 LLM 環境におけるサイレントなモデル置換を検出するための、実用的かつ低オーバーヘッドな解決策として位置づけており、基盤となるモデルアーキテクチャを SAE 統合以外に変更することなく、複数のモデルスケールおよび攻撃ベクトルにおいて検証されている。